Operator krypto-płatności skompromitowany, prawie 10 milionów strat. Celem – cztery blockchainy
Triple-A, znany operator płatności kryptowalutowych, padł w sobotę ofiarą zmasowanego – i kompromitującego dla firmy – włąmania hakerskiego. Jego celem okazały się gorące portfele firmy, które skutecznie wydrenowano. Hakerom udało się wyprowadzić z nich środki o wartości bliskiej 10 milionów dolarów. Atak dotknął aktywa kryptograficzne na blockchainach: Ethereum, Solana, TON i TRON – a według niektórych źródeł, także Polygon i Arbitrum.
Dla zarejestrowanego w Singapurze Triple-A, podmiotu dysponującego licencją Monetary Authority of Singapore i obsługującego rzekomo ponad 20 000 firm, jest to włamanie tym boleśniejsze, że wręcz „prostackie” w swojej formie. Atak nie cechował się bowiem wyrafinowanymi rozwiązaniami technologicznymi ani też nie wykorzystał żadnej luki w smart kontrakcie firmy. Hakerzy wykorzystali tyleż banalną, co zawsze skuteczną w swej prostocie kompromitację danych uwierzytelniających, niezbędnych do autoryzowania transakcji z poszkodowanych portfeli (wykorzystywanych do bieżącego zarządzania zasobami i realizacji transakcji cross-chain, i z tego względu w naturalny sposób mniej bezpiecznych niż portfele zimne).
Mówiąc prościej, cyberprzestępcy jakimś sposobem uzyskali dostęp do kluczy prywatnych tych portfeli – a następnie autoryzowali sobie z nich transakcje. Włamywacze systematycznie opróżniali aktywa z kolejnych sieci, konwertowali je na ETH za pośrednictwem zdecentralizowanych giełd i mostów, by ostatecznie przetransferować łup na jeden adres Ethereum (ten adres to: 0x01F83B5d4fb30E8AA3daC1681B4048D9135253b1). Obecnie ma się tam znajdować 5 227 ETH – równowartość ok. 9,7 mln dolarów. Co gorsza, podczas gdy środki drenowano ze skompromitowanych adresów, interfejs Triple A nadal akceptował nowe wpłaty od swoich klientów – a każda nowa wpłata natychmiast trafiła do rąk atakujących.
Ciemno wszędzie, głucho wszędzie, hakerzy też wszędzie
Firma ewidentnie bardzo późno zorientowała się, co się w ogóle dzieje. Zorientowanie zorientowaniem, ale uderza też fakt braku automatycznej blokady bezpieczeństwa lub nawet podstawowych narzędzi do wykrywania anomalii – tymczasem takie mechanizmy bezpieczeństwa uchodzą w infrastrukturze płatniczej za standard, nie luksus. Sobotni atak dość dobitnie przypomina zresztą, dlaczego. Skala włamania, brak jakiejkolwiek blokady oraz swoboda postępowania hakerów może tutaj sugerować, że doszło do skutecznego przejęcia nie tylko kluczy prywatnych, ale także, choćby tymczasowo, samych systemów firmy. Trudno bowiem inaczej wytłumaczyć, dlaczego nikt nie zablokował transferów lub choćby nie zwrócił na nie uwagi.
Incydent wpisuje się w czarną serię ostatnich tygodni: tylko w lipcu straty z powodu exploitów przekroczyły 100 milionów dolarów, a same włamania hakerskie są w tym roku jeśli nie codziennością, to w każdym razie zjawiskiem na tyle częstym, by zabezpieczenia przed nimi potraktować jako kwestię priorytetową. Triple-A – pomimo bycia globalnym graczem w branży płatności krypto, który oferuje swoim klientom „zero-volatility exposure” poprzez natychmiastową konwersję krypto na fiat – do momentu publikacji nie opublikowało oficjalnego komunikatu, co tylko pogłębia wrażenie chaosu. Na razie nie ma także informacji na temat tego, kto mógł stać za włamaniem i z kim powiązany jest ów adres Ethereum, na którym spoczął łup.
